「Solidity Pro」を騙る悪意ある拡張機能が、開発者がVS CodeやOpen VSXツールに寄せる信頼を悪用しています。当初は遅延実行型のペイロードドロッパーとして機能していましたが、現在では認証情報や暗号資産ウォレットを広く狙う窃取ツールへと進化を遂げています。
Yeeth Securityは、helper-beepsとweb3devtoolsxという2つの発行者を特定しました。両者はSolidityをテーマにしたブランディング、難読化、頻繁なバージョン更新を駆使し、Web3開発者を標的とする関連パッケージsolidity-proを配布しています。
Cloudsecurity certification
この攻撃キャンペーンは、公開されている報告の中でWhiteCobraによる「Operation Solidity Pro」とされる手口と一致しています。この手口は、説得力のある拡張機能を公開し、ダウンロード数を水増しし、SNSでパッケージを宣伝し、削除されてもすぐに別のアップロードに差し替えるという特徴を持っています。
初期のsolidity-proのリリース(バージョン1.0.0から2.4.x)は、段階的に動作するドロッパーとして機能していました。インストール後、拡張機能はWeb3AnalyticsとApiClientという名称のコンポーネントを起動し、約12時間から3日の間でランダムに設定された時間だけ待機します。
このタイミングをずらす仕組みにより、インストール直後の短期間しか監視しない自動サンドボックス解析による検知を回避しやすくなっています。
発動すると、拡張機能は16進数エンコードされた文字列断片から組み立てられたCloudflare Worker基盤に接続します。研究者らはviolet-87cardo[.]workers[.]dev、cardo[.]workers[.]dev、soft-feather-7807.0x.cloudflare-workers[.]workers[.]devといったドメインを確認しています。
この拡張機能はまた、CoinGecko APIリクエストに似せたおとりトラフィックを生成し、悪意ある通信を開発者や暗号資産関連の想定される通信活動に紛れ込ませています。
単独プロセスとして実行することで、ペイロードはVS Code拡張機能のホストが終了した後も存続できます。複数の検体では、CI、GITHUB_ACTIONS、JENKINS_HOME、GITPOD_WORKSPACE_IDといったCI環境やサンドボックス特有の環境変数も確認しており、監視環境下での実行を回避するための対策とみられます。
C2サーバーはAES-GCMで暗号化されたPythonペイロードを返します。拡張機能は埋め込まれた素材から復号鍵を導出し、復元したスクリプトを一時ディレクトリまたはホームディレクトリ配下のパスに書き込み、Node.jsのchild_process.spawnを通じて実行します。
Yeeth Securityの研究者らは、自社レポート「WhiteCobra Beginnings」の中で、偽のHardhat Solidity拡張機能を用いたWhiteCobra関連とみられる以前の攻撃活動についても言及しています。
Solidity Pro偽拡張機能
バージョン3.0.0以降、このマルウェアは直接的な窃取へと軸足を移しました。以降のリリースにはWORKERS、CID、MAX_FILES、MAX_VAULTSといった設定項目が追加され、情報の外部送信にはTelegramボット基盤が使われています。
新たに追加された機能は、開発者のワークステーションに一般的に保存されている高価値データを狙うよう調整されています。具体的には、GitHubおよびGitLabのアクセストークン、AWS認証情報、Cloudflareトークン、OpenAI APIキー、Telegramボットトークン、SSH秘密鍵、ブラウザのプロファイルデータ、1Password関連の情報などです。
暗号資産も主要な標的の一つです。この窃取ツールはニーモニックフレーズ、Bitcoin形式のWIF鍵や拡張秘密鍵、そしてMetaMask、Phantom、Rabby、Coinbase Wallet、Trust Wallet、Keplrに関連するウォレットのボルトデータを探索します。
単純なクリップボード監視に頼るのではなく、このマルウェアはWeb3開発の作業過程で蓄積されるファイル、プロファイル、シークレット、トークンを特定するよう設計されているとみられます。
Antivirus& Malware
すべてのリリースに明白な悪意あるコードが含まれていたわけではありません。web3devtoolsxは、GasTrackerやPriceMonitorといった一見無害なコンポーネントを含む、表面上は問題のないバージョン(1.0.0や4.0.0を含む)も公開していました。
こうしたおとりパッケージは、評価の確立、マーケットプレイスの審査回避、あるいは削除後の再配布のテストといった目的で使われている可能性があります。
この攻撃キャンペーンは、拡張機能の名称や洗練されたREADME、ダウンロード数が信頼の指標としていかに脆弱かを示しています。
開発者は発行者を検証し、可能な限り拡張機能の権限やソースコードを確認するとともに、シードフレーズや秘密鍵をエディター環境に置かないようにすべきです。
組織は承認済み拡張機能の許可リストを維持し、レジストリの変更を監視し、不審なSolidity関連の拡張機能がインストールされていた場合は、直ちに露出したトークンを失効させる必要があります。
2026年版Agentic SOC購入ガイドを活用する理由 ― 主要8製品を徹底比較 – 2026年版購入ガイドをダウンロード
翻訳元: https://gbhackers.com/fake-solidity-pro-extensions/
